Hosted Exchange : politiques de filtrage des spams

Remarque : Cet article d’aide s’applique uniquement à Hosted Exchange. Si vous ne savez pas quel service de messagerie vous utilisez, vous trouverez de plus amples informations dans l’article suivant.

https://www.green.ch/fr/quel-service-de-messagerie-dois-je-utiliser

Les politiques de filtrage des spams dans EdgePilot déterminent comment un e-mail est traité lorsqu’un contrôle de sécurité ou de spam se déclenche. Les politiques définissent par exemple si un message est distribué, marqué, placé en quarantaine, transféré ou supprimé.

Un seul tag ne signifie pas automatiquement qu’un message est un spam. Le filtre anti-spam collecte différents indices techniques et les évalue conjointement. Plusieurs tags peuvent donc apparaître simultanément pour un même message.

Différence entre les tags et les politiques de filtrage des spams

Les tags indiquent quels contrôles ont été déclenchés pour un e-mail. BULKMAILER, DMARC, PHISHING, WEBBUG et WEIGHT20 en sont des exemples.

Les politiques de filtrage des spams déterminent l’action exécutée lorsqu’un tel tag est détecté. Selon la politique, un même contrôle peut par exemple seulement déclencher un avertissement ou entraîner le placement du message en quarantaine.

Actions disponibles

Avertir

L’e-mail est distribué, mais reçoit une indication de spam ou une évaluation correspondante. Cette action peut être utilisée pour des caractéristiques qui ne prouvent pas à elles seules qu’un message est un spam.

Hold

L’e-mail est retenu et placé en quarantaine. Un administrateur peut y contrôler le message et le libérer si nécessaire.

Vous trouverez la quarantaine dans EdgePilot sous Email Threat Protection et Quarantaine.

Supprimer

L’e-mail est rejeté. Ce paramètre est particulièrement restrictif. Un message classé par erreur et supprimé ne peut pas être libéré ultérieurement depuis la quarantaine.

Marquer l’en-tête

Une entrée supplémentaire est ajoutée à l’en-tête du message. De telles entrées peuvent par exemple être évaluées par des règles Outlook ou des passerelles de messagerie en aval.

Exemples d’entrées d’en-tête possibles :

X-Spam-Status: Yes
X-Spam-Score: 12

Marquer l’objet

L’objet de l’e-mail est complété. Par exemple, l’objet Facture août peut devenir [SPAM] Facture août.

Transférer

L’e-mail est transféré vers une adresse définie. Cette action peut par exemple être utilisée pour une boîte aux lettres dédiée à la sécurité, aux abus ou à la surveillance.

Comment une politique traite un message

Chaque règle peut être activée ou désactivée et recevoir sa propre action.

Si, par exemple, l’action Avertir est utilisée pour le tag PHISHING, le message est distribué et le tag PHISHING reste visible dans le journal.

Si l’action Hold est utilisée pour PHISHING, le message est placé en quarantaine. Avec l’action Supprimer, il est rejeté.

Remarque : Ne modifiez les politiques qu’après avoir contrôlé les tags du message concerné. Un réglage moins strict peut entraîner la distribution d’un plus grand nombre de messages indésirables ou dangereux.

Contrôles de pondération

Les tags WEIGHT10, WEIGHT15, WEIGHT20 et WEIGHT30 se rapportent à l’évaluation globale d’un message. D’autres contrôles fournissent des indices ou des points d’évaluation. Lorsqu’un niveau de pondération défini est atteint, le tag WEIGHT correspondant est déclenché.

WEIGHT10 : filtrage des spams très agressif
WEIGHT15 : filtrage des spams plus agressif
WEIGHT20 : filtrage standard des spams
WEIGHT30 : spam pratiquement certain

Dans la configuration documentée, WEIGHT20 et WEIGHT30 sont réglés sur Hold. Lorsqu’un message atteint l’évaluation correspondante, il est placé en quarantaine.

En cas de classement erroné, des documents internes ont parfois recommandé de désactiver WEIGHT10 et WEIGHT15, car ces niveaux appliquent un filtrage nettement plus agressif.

Contrôles de phishing et de fraude

PHISHING : caractéristiques générales de phishing
PHISHURL : URL de phishing connue détectée
SPEARPHISH : caractéristiques d’une attaque de phishing ciblée
419SCAM : caractéristiques d’une fraude par paiement anticipé
INVESTMENT : termes typiques d’une fraude à l’investissement
PHISHPHINDER : détection du phishing

Ces tags indiquent des caractéristiques qui peuvent apparaître dans le cadre d’un phishing ou d’une fraude. L’effet d’un tag dépend de la politique définie pour celui-ci.

Tags pour les e-mails marketing et les newsletters

BULKMAILER : envoi en masse détecté
OPTOUT : lien de désinscription présent
WEBBUG : pixel de suivi détecté
COMMENTS : commentaires HTML masqués détectés
FINGERPRINT : correspondance avec un modèle de message détecté

Les newsletters légitimes peuvent également recevoir les tags WEBBUG, OPTOUT et BULKMAILER. Ces caractéristiques ne prouvent pas à elles seules qu’un message est un spam. Associées à d’autres contrôles, elles peuvent toutefois augmenter l’évaluation globale.

Tags pour les techniques de dissimulation

SPACEDSUBJECT : séparation volontaire des mots dans l’objet
ENCODEDSUBJECT : objet encodé selon la norme RFC
BASE64TEXT : texte encodé en Base64
BADCHARSET : jeu de caractères suspect
NOLEGITCONTENT : contenu à peine lisible

De telles caractéristiques peuvent être utilisées pour compliquer les contrôles du contenu. La présence d’une seule caractéristique doit toutefois être évaluée en tenant compte des autres tags du message.

Contrôles techniques du contenu

FILECHECK : les pièces jointes ont été examinées
HTMLSCRIPT : code de script détecté dans le contenu HTML
HTTPREDIRECT : redirections détectées
IPINURL : une URL contient une adresse IP directe

Les adresses IP directes dans les liens peuvent constituer une caractéristique de phishing et influencer l’évaluation d’un message.

Contrôles de l’authentification de l’expéditeur

SPF

SPFHARDFAIL : échec définitif du contrôle SPF
SPFSOFTFAIL : échec probable du contrôle SPF

DKIM

DKIM : échec du contrôle DKIM

DMARC

DMARC : échec du contrôle DMARC

Dans l’évaluation documentée, un tag DMARC signifie que le serveur de messagerie n’a pas pu confirmer avec succès l’authentification de l’expéditeur. Cela ne suffit pas à faire d’un message un spam, mais peut augmenter son évaluation de spam.

Vous trouverez de plus amples informations sur SPF, DKIM et DMARC dans l’article suivant :

https://www.green.ch/fr/tout-savoir-sur-spf-dkim-et-dmarc

Contrôles DNS et de routage

REVDNS : contrôle du DNS inversé ou de l’enregistrement PTR
HELOBOGUS : le serveur SMTP s’identifie avec un nom d’hôte non valide
ROUTING : caractéristiques de routage suspectes détectées

Des informations techniques manquantes ou incorrectes sur le serveur de messagerie expéditeur peuvent influencer l’évaluation de spam d’un message.

Contrôles des messages de rebond

BOUNCEBLOCK : message de rebond détecté
BOUNCETRACKER : message de rebond de suivi détecté
BOUNCELOOP : boucle infinie détectée
BOUNCEBLOCKER : protection contre le backscatter

Ces tags concernent les messages non distribuables, les réponses automatiques et la protection contre le backscatter.

Contrôles de réputation et de signature

ARGDBL : correspondance avec une liste de protection contre les spams
SIGNATURE : correspondance avec une signature anti-spam mise à jour
SPAMDOMAINS : domaine détecté en lien avec du spam

Si un domaine ou une URL figure sur une liste de protection utilisée, cela peut augmenter l’évaluation de spam de l’ensemble du message. Dans la configuration documentée, le tag SIGNATURE entraîne directement l’action Hold.

Contrôles de langue et de jeu de caractères

AFRICAN-CHR
ARABIC-CHR
ASIAN-CHR
CYRILLIC-CHR
GREEK-CHR
HEBREW-CHR
PORTUGUESE-CHR
SPANISH-CHR
TURKISH-CHR

Ces tags indiquent qu’un message contient principalement des caractères du groupe linguistique correspondant. Un tel tag ne signifie pas automatiquement que le message est un spam.

Plusieurs tags pour un même message

Un message peut déclencher plusieurs contrôles simultanément. Un exemple documenté contient les tags suivants :

BOUNCETRACKER
WEBBUG
OPTOUT
BULKMAILER
FINGERPRINT
WEIGHT20
WEIGHT30

Dans cet exemple, WEBBUG, OPTOUT et BULKMAILER indiquent des caractéristiques typiques d’une newsletter. Les différents contrôles contribuent à l’évaluation globale. WEIGHT20 et WEIGHT30 indiquent que les seuils d’évaluation correspondants ont été atteints.

Un autre exemple documenté contient COMMENTS, WEBBUG, BULKMAILER, FINGERPRINT, WEIGHT20 et WEIGHT30. Cela indique un message HTML provenant d’un système d’envoi, avec plusieurs caractéristiques supplémentaires de spam.

Avec les tags BOUNCETRACKER, DMARC, BULKMAILER, PHISHPHINDER et WEIGHT20, des caractéristiques d’un envoi en masse ont été détectées, ainsi qu’un échec de l’authentification de l’expéditeur et un contrôle de phishing.

Vérifier la cause d’une mise en quarantaine ou d’un refus

Pour un message manquant ou placé en quarantaine, ne contrôlez pas uniquement un seul tag. Vérifiez tous les contrôles affichés et les politiques correspondantes.

Connectez-vous à EdgePilot.
Ouvrez Email Threat Protection.
Ouvrez les journaux des e-mails.
Recherchez le message concerné à l’aide de l’expéditeur, du destinataire et de l’heure.
Vérifiez le statut du message.
Vérifiez tous les tags affichés.
Vérifiez en particulier WEIGHT20, WEIGHT30, PHISHING, PHISHURL, DMARC, DKIM, SPFHARDFAIL, ARGDBL, SIGNATURE et SPAMDOMAINS.
Comparez les tags avec les actions définies dans les politiques de filtrage des spams.

Vous trouverez de plus amples informations sur les journaux des e-mails dans l’article suivant :

https://www.green.ch/fr/journaux-hex

Adapter les politiques de filtrage des spams

Pour gérer les politiques, vous avez besoin d’un utilisateur EdgePilot disposant de droits d’administrateur.

Connectez-vous à EdgePilot en tant qu’administrateur.
Ouvrez Email Threat Protection.
Ouvrez Paramètres.
Sélectionnez Politique de filtrage des spams.
Vérifiez quelles règles sont activées.
Vérifiez les actions définies pour chaque règle.
Adaptez uniquement la politique associée aux tags du message concerné.
Enregistrez les modifications.

Vous trouverez de plus amples informations sur la gestion du filtre anti-spam dans EdgePilot dans l’article suivant :

https://www.green.ch/fr/comment-gerer-mon-filtre-anti-spam-dans-edgepilot

Vous trouverez de plus amples informations sur l’attribution des droits d’administrateur dans l’article suivant :

https://www.green.ch/fr/comment-attribuer-des-droits-dadministrateur-a-un-utilisateur

Libérer des messages de la quarantaine

Avec l’action Hold, le message est placé en quarantaine. Avant de le libérer, vérifiez l’expéditeur, le contenu, les liens inclus et les tags déclenchés.

Vous trouverez de plus amples informations sur la libération d’un message dans l’article suivant :

https://www.green.ch/fr/hosted-exchange-partage-de-mails-dans-edgepilot

Vous trouverez de plus amples informations sur la gestion de la quarantaine dans l’article suivant :

https://www.green.ch/fr/gerer-la-quarantaine-dexchange-heberge

Informations complémentaires

Vous trouverez de plus amples informations sur Hosted Exchange, le spam et la quarantaine dans les articles suivants :

https://www.green.ch/fr/tout-savoir-sur-hosted-exchange

https://www.green.ch/fr/hex-tout-ce-quil-faut-savoir-sur-le-spam-et-la-quarantaine

https://www.green.ch/fr/filtre-anti-spam-hex-motifs-et-responsabilite

https://www.green.ch/fr/reglage-trop-strict-du-filtre-anti-spam-hex

https://www.green.ch/fr/que-faire-face-a-tant-de-spams

https://www.green.ch/fr/quest-ce-que-le-spam